Թույլատրված IP-ների ցանկն ընդդեմ հաստատված նոթբուքի՝ երկու տարբեր վերահսկողություն

Միայն հաստատված նոթբուքի միացումը թույլատրող կանոնի հարցումները հաճախ ավարտվում են որպես գրասենյակի հանրային հասցեի համար հրաշեփական պատի գրառում։ Այդ կանոնն այժմ թույլ է տալիս հասցեի հետևում գտնվող յուրաքանչյուր սարքի։ Պահանջն ու իրականացումը նույնը չեն։ Առանձնացրեք, թե ինչ է ուզում քաղաքականությունը, և ինչ կարող է ապացուցել հասցեն։

Երեք հարց մեկ քաղաքականության հարցման մեջ

Բաժանեք հարցումը երեք մասի՝ որտեղից է գալիս կապը, ո՞ր ծառայությանը կարող է հասնել, և ո՞ր համակարգիչն է ներկայացնում հավատարմագիրը։ Աղբյուրի հասցեի կանոնը պատասխանում է առաջինին, իսկ նպատակակետ ծառայության կանոնը՝ երկրորդին։ Ոչ մեկը չի նույնականացնում ֆիզիկական մեքենան, որովհետև երկուսն էլ աշխատում են ցանցային դաշտերում, որոնք կիսում են շատ սարքեր։ Երրորդին անհրաժեշտ է այդ սարքին տրված և լուռ կրկին չօգտագործվող հավատարմագիր։

Գրեք երեք պատասխանները առանձին։ Մեկ հրաշեփական պատի տող չի կարող բավարարել երեքը նշող պահանջը։

Ինչ կարող է պատմել աղբյուրի հասցեն

Հասցեների թարգմանությունը սովորական պատճառն է, թե ինչու ցանցային ծագման կանոնը չափից շատ է թույլատրում։ Մեկ գրասենյակային ելքի հետևում գտնվող ամեն ինչ երևում է որպես նույն հանրային հասցե, ուստի կանոնը թույլտվություն է տալիս ամբողջ խմբին։ VPN-ի ներսում ֆիքսված հասցեն նույն թուլությունն ունի այլ տեղ՝ այն սեսիային կապված նշանակում է, ոչ թե սարքաշարի հատկություն։ Ցանկացած սարք, որն ունի ընդունված հավատարմագիր, կարող է բացել այդ սեսիան։ Վերաբերվեք հասցեին որպես ցանցային սահմանափակում և նկարագրեք այն այդպես։

Դա դեռ օգտակար է ազդեցությունը սահմանափակելու համար, և դա սարքի նույնականացում չէ։

Կապեք մուտքը գրանցված հավատարմագրին

Եթե պահանջը սարքի սահմանափակումն է, օգտագործեք VPN-ի կողմից աջակցվող յուրաքանչյուր սարքի գրանցումը և յուրաքանչյուր համակարգչի տվեք առանձին ինքնություն։

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Պահոցի ցանկը ցույց է տալիս վկայականը և արդյոք կա մասնավոր բանալի, իսկ ստուգումը ցույց է տալիս, թե արդյոք շղթան տանում է նախատեսված խարիսխին։ Վկայականն ապացուցում է կազմաձևված քաղաքականության ներքո ընդունված մասնավոր բանալու տիրապետումը։ Այն չի ապացուցում, թե որ ֆիզիկական մեքենան ուներ այն, երբ այդ բանալին կարելի է արտահանել և պատճենել։ Պրոֆիլը նոթբուքի անունով կոչելը գաղտնիքը թողնում է նույնքան տեղափոխելի, որքան առաջ։ Այնտեղ, որտեղ հարթակը դա աջակցում է, ապարատով պաշտպանված բանալիները հաստատման քաղաքականությամբ ավելի ամուր կապ են տալիս, և գրանցումը դեռ պետք է որոշի, թե ով կարող է ստանալ հավատարմագիրը։

Փորձարկեք սահմանը, ապա պլանավորեք հեռացումը

Գնահատեք երկու դեպք՝ հաստատված նոթբուքը և օգտատերը պետք է միանան, իսկ միայն օգտատիրոջ հաշիվն ունեցող մեկ այլ սարք՝ ոչ։ Եթե դիզայնը պահանջում է և՛ օգտատիրոջ, և՛ սարքի ստուգում, համոզվեք, որ ընտրված մեթոդը երկուսն էլ կիրառում է նույն սեսիայում, փոխարենը ենթադրելու, որ երկու անկախ կարգավորումներ միավորվում են։

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Չեղարկումը պետք է հեռացնի ընդունված սարքի ինքնությունը, և ակտիվ սեսիաների կառավարումն արժանի է առանձին փորձարկման։ TPM-ը կամ կառավարվող սարքի դրոշը մաքուր առողջության վկայական չէ մեքենայի յուրաքանչյուր գործընթացի համար։

Գրանցեք ցանցային սահմանափակումը, սարքի հավատարմագիրը և գրանցման որոշումը որպես երեք վերահսկողություն՝ երեք սեփականատերերով։ Դա սահմանը դարձնում է վերանայելի, և դա այն է, ինչ միայն հասցեն երբեք չի կարող տալ։